Segurança do Drive, auditoria e regras de exclusão segura

A automação do Drive é poderosa porque pode mover, compartilhar e excluir arquivos. Esse mesmo poder exige regras de segurança claras. A API do Drive do TrekMail combina tokens de escopo restrito, uma Lixeira recuperável, permissões explícitas para exclusão permanente, barreiras de segurança do MCP e logs de auditoria para que os agentes trabalhem sem se tornarem administradores de arquivos invisíveis.

Use tokens restritos

Crie um token por fluxo de trabalho. Um token de relatórios deve permitir leitura. Um token de upload deve permitir gravação. Um token de entrega deve permitir compartilhamento. Um token de limpeza pode permitir a exclusão permanente, mas deve ser separado, ter um nome claro e ser usado raramente.

Evite conceder todos os escopos do Drive a um único agente sempre ativo. Se algo der errado, um token restrito limita o impacto e facilita a análise da auditoria.

Primeiro a lixeira, depois a exclusão permanente

Uma exclusão normal move arquivos e pastas para a Lixeira. É possível recuperá-los. A exclusão permanente é irreversível.

Use esta regra padrão:

Os agentes podem enviar arquivos para a lixeira como parte de um fluxo de trabalho aprovado. Eles só podem excluir arquivos permanentemente quando o usuário solicitar explicitamente uma exclusão irreversível ou quando uma tarefa de manutenção revisada estiver em execução.

Em um servidor MCP hospedado localmente, o administrador pode exigir TREKMAIL_ALLOW_DESTRUCTIVE=true para as ferramentas de exclusão permanente. O escopo correspondente de exclusão permanente é sempre obrigatório.

Revise os links públicos

Os links públicos de compartilhamento são destinados à entrega externa. Qualquer pessoa com a URL pode baixar o arquivo até o link expirar, atingir seu limite de downloads ou ser revogado.

Padrões mais seguros:

• Defina uma data de expiração.
• Defina um limite de downloads.
• Revogue os links quando um projeto terminar.
• Não crie links públicos para arquivos que exigem acesso de destinatários identificados, a menos que sua política permita.

Audite todos os fluxos de trabalho que alteram dados

As ações da API do Drive e do MCP que alteram dados são registradas com atribuição ao token. Use Agentes de IA e API → Log de auditoria para responder:

• Qual token criou esta pasta?
• Qual agente enviou o arquivo?
• Quando um link público foi criado ou revogado?
• Foi realizada uma exclusão permanente?

Mesmo que um token seja revogado posteriormente, as entradas históricas de auditoria continuam úteis para análise.

Restrições de caixa postal

Quando um agente precisa apenas do Drive de uma caixa postal, restrinja o token a essa caixa. A API não revelará recursos fora dessa restrição. Isso é especialmente importante para assistentes integrados ao fluxo de trabalho de uma única caixa postal.

Segurança de cobrança

As alterações de cobrança do complemento Drive não são expostas por ferramentas de gravação da API ou do MCP. Os agentes podem consultar o status e os preços do complemento, mas compras, redimensionamentos e cancelamentos permanecem no painel. Isso impede que um token de automação de arquivos se torne um token de automação de cobrança.

Lista de verificação de incidentes

Se um agente fizer algo inesperado:

1. Revogue o token.
2. Analise o log de auditoria filtrado por esse token.
3. Restaure os arquivos da Lixeira quando possível.
4. Revogue links de compartilhamento não intencionais.
5. Crie um token substituto mais restrito somente depois de corrigir o fluxo de trabalho.